Oauth 2.0 azure active directory b2c中客户端机密的用途是什么？

Azure AD B2C中客户端机密的用途是什么？微软的医生只说

如果应用程序将代码交换为令牌，则需要创建 申请机密

azure ad b2c是否会通过客户端密码对令牌进行加密，或者如果本机应用程序请求令牌，则需要将客户端密码发送到azure ad b2c端点？ 而且，客户端密码是否可以用于使只有我信任的本机应用程序才能获得jwt然后访问我的服务器，第三方不信任的应用程序无法从b2c获得令牌访问我的服务器

应用程序id uri的用途是什么

---

谢谢。

这与您使用的是Azure AD还是Azure AD B2C无关

web应用程序而非本机应用程序需要客户端密码，因为客户端密码无法可靠地存储在设备上

它是web应用程序和web API所必需的，它们能够在服务器端安全地存储客户端机密

官方文件：也没有提到您需要添加客户机密

您在Microsoft doc中看到的是web应用程序

应用程序id uri的用途是什么

应用程序ID URI是用于标识API的唯一URI。当请求此API的访问令牌时，应添加整个URI作为每个作用域的前缀

---

如果您有受保护的web API并使用其他客户端应用程序访问此API，则可以输入用于web API的标识符。请参阅详细信息。

谢谢您的帮助。这是否意味着azure b2c将使用客户端密码对令牌进行编码，my t web server/api可以使用客户端密码对令牌进行解码？否。在用户进行身份验证后，您的应用程序可以使用客户端密码为令牌交换授权码。但这仅适用于你的应用程序是后端Web应用程序的情况。令牌总是用B2C的密钥签名，你的应用程序客户端机密与此无关。正如juunas所说，客户端机密与此场景无关。只有使用身份验证代码流进行授权时，才需要客户端密码。